+NARIADENIE EURÓPSKEHO PARLAMENTU A RADY (EÚ) 2024/2847 z 23. októbra 2024 o horizontálnych požiadavkách kybernetickej bezpečnosti pre produkty s digitálnymi prvkami a o zmene nariadení (EÚ) č. 168/2013 a (EÚ) 2019/1020 a smernice (EÚ) 2020/1828 (akt o kybernetickej odolnosti) (Text s významom pre EHP)
---+KAPITOLA I VŠEOBECNÉ USTANOVENIA
------+Článok 1 Predmet úpravy
------+Článok 2 Rozsah pôsobnosti
---------+Článok 2 1.
---------+Článok 2 2.
---------+Článok 2 3.
---------+Článok 2 4.
---------+Článok 2 5.
---------+Článok 2 6.
---------+Článok 2 7.
---------+Článok 2 8.
------+Článok 3 Vymedzenie pojmov
------+Článok 4 Voľný pohyb
---------+Článok 4 1.
---------+Článok 4 2.
---------+Článok 4 3.
---------+Článok 4 4.
------+Článok 5 Obstarávanie alebo používanie produktov s digitálnymi prvkami
---------+Článok 5 1.
---------+Článok 5 2.
------+Článok 6 Požiadavky na produkty s digitálnymi prvkami
------+Článok 7 Dôležité produkty s digitálnymi prvkami
---------+Článok 7 1.
---------+Článok 7 2.
---------+Článok 7 3.
---------+Článok 7 4.
------+Článok 8 Kritické produkty s digitálnymi prvkami
---------+Článok 8 1.
---------+Článok 8 2.
------+Článok 9 Konzultácie so zainteresovanými stranami
---------+Článok 9 1.
---------+Článok 9 2.
------+Článok 10 Zlepšovanie zručností v kyberneticky odolnom digitálnom prostredí
------+Článok 11 Všeobecná bezpečnosť produktov
------+Článok 12 Vysokorizikové systémy AI
---------+Článok 12 1.
---------+Článok 12 2.
---------+Článok 12 3.
---------+Článok 12 4.
---+KAPITOLA II POVINNOSTI HOSPODÁRSKYCH SUBJEKTOV A USTANOVENIA TÝKAJÚCE SA SLOBODNÉHO SOFTVÉRU A SOFTVÉRU S OTVORENÝM ZDROJOVÝM Kódom
------+Článok 13 Povinnosti výrobcov
---------+Článok 13 1.
---------+Článok 13 2.
---------+Článok 13 3.
---------+Článok 13 4.
---------+Článok 13 5.
---------+Článok 13 6.
---------+Článok 13 7.
---------+Článok 13 8.
---------+Článok 13 9.
---------+Článok 13 10.
---------+Článok 13 11.
---------+Článok 13 12.
---------+Článok 13 13.
---------+Článok 13 14.
---------+Článok 13 15.
---------+Článok 13 16.
---------+Článok 13 17.
---------+Článok 13 18.
---------+Článok 13 19.
---------+Článok 13 20.
---------+Článok 13 21.
---------+Článok 13 22.
---------+Článok 13 23.
---------+Článok 13 24.
---------+Článok 13 25.
------+Článok 14 Ohlasovacie povinnosti výrobcov
---------+Článok 14 1.
---------+Článok 14 2.
---------+Článok 14 3.
---------+Článok 14 4.
---------+Článok 14 5.
---------+Článok 14 6.
---------+Článok 14 7.
---------+Článok 14 8.
---------+Článok 14 9.
---------+Článok 14 10.
------+Článok 15 Dobrovoľné oznamovanie
---------+Článok 15 1.
---------+Článok 15 2.
---------+Článok 15 3.
---------+Článok 15 4.
---------+Článok 15 5.
------+Článok 16 Zriadenie jednotnej oznamovacej platformy
---------+Článok 16 1.
---------+Článok 16 2.
---------+Článok 16 3.
---------+Článok 16 4.
---------+Článok 16 5.
---------+Článok 16 6.
------+Článok 17 Ďalšie ustanovenia o oznamovaní
---------+Článok 17 1.
---------+Článok 17 2.
---------+Článok 17 3.
---------+Článok 17 4.
---------+Článok 17 5.
---------+Článok 17 6.
------+Článok 18 Splnomocnení zástupcovia
---------+Článok 18 1.
---------+Článok 18 2.
---------+Článok 18 3.
------+Článok 19 Povinnosti dovozcov
---------+Článok 19 1.
---------+Článok 19 2.
---------+Článok 19 3.
---------+Článok 19 4.
---------+Článok 19 5.
---------+Článok 19 6.
---------+Článok 19 7.
---------+Článok 19 8.
------+Článok 20 Povinnosti distribútorov
---------+Článok 20 1.
---------+Článok 20 2.
---------+Článok 20 3.
---------+Článok 20 4.
---------+Článok 20 5.
---------+Článok 20 6.
------+Článok 21 Prípady, v ktorých sa povinnosti výrobcov vzťahujú na dovozcov a distribútorov
------+Článok 22 Iné prípady uplatňovania povinností výrobcov
---------+Článok 22 1.
---------+Článok 22 2.
------+Článok 23 Identifikácia hospodárskych subjektov
---------+Článok 23 1.
---------+Článok 23 2.
------+Článok 24 Povinnosti správcov softvéru s otvoreným zdrojovým kódom
---------+Článok 24 1.
---------+Článok 24 2.
---------+Článok 24 3.
------+Článok 25 Osvedčovanie bezpečnosti slobodného softvéru a softvéru s otvoreným zdrojovým kódom
------+Článok 26 Usmernenia
---------+Článok 26 1.
---------+Článok 26 2.
---------+Článok 26 3.
---+KAPITOLA III ZHODA PRODUKTU S DIGITÁLNYMI PRVKAMI
------+Článok 27 Predpoklad zhody
---------+Článok 27 1.
---------+Článok 27 2.
---------+Článok 27 3.
---------+Článok 27 4.
---------+Článok 27 5.
---------+Článok 27 6.
---------+Článok 27 7.
---------+Článok 27 8.
---------+Článok 27 9.
------+Článok 28 EÚ vyhlásenie o zhode
---------+Článok 28 1.
---------+Článok 28 2.
---------+Článok 28 3.
---------+Článok 28 4.
---------+Článok 28 5.
------+Článok 29 Všeobecné zásady označenia CE
------+Článok 30 Pravidlá a podmienky umiestňovania označenia CE
---------+Článok 30 1.
---------+Článok 30 2.
---------+Článok 30 3.
---------+Článok 30 4.
---------+Článok 30 5.
---------+Článok 30 6.
------+Článok 31 Technická dokumentácia
---------+Článok 31 1.
---------+Článok 31 2.
---------+Článok 31 3.
---------+Článok 31 4.
---------+Článok 31 5.
------+Článok 32 Postupy posudzovania zhody produktov s digitálnymi prvkami
---------+Článok 32 1.
---------+Článok 32 2.
---------+Článok 32 3.
---------+Článok 32 4.
---------+Článok 32 5.
---------+Článok 32 6.
------+Článok 33 Opatrenia na podporu mikropodnikov a malých a stredných podnikov vrátane startupov
---------+Článok 33 1.
---------+Článok 33 2.
---------+Článok 33 3.
---------+Článok 33 4.
---------+Článok 33 5.
------+Článok 34 Dohody o vzájomnom uznávaní
---+KAPITOLA IV NOTIFIKÁCIA ORGÁNOV POSUDZOVANIA ZHODY
------+Článok 35 Notifikácia
---------+Článok 35 1.
---------+Článok 35 2.
------+Článok 36 Notifikujúce orgány
---------+Článok 36 1.
---------+Článok 36 2.
---------+Článok 36 3.
---------+Článok 36 4.
------+Článok 37 Požiadavky na notifikujúce orgány
---------+Článok 37 1.
---------+Článok 37 2.
---------+Článok 37 3.
---------+Článok 37 4.
---------+Článok 37 5.
---------+Článok 37 6.
------+Článok 38 Informačná povinnosť notifikujúcich orgánov
---------+Článok 38 1.
---------+Článok 38 2.
------+Článok 39 Požiadavky na notifikované osoby
---------+Článok 39 1.
---------+Článok 39 2.
---------+Článok 39 3.
---------+Článok 39 4.
---------+Článok 39 5.
---------+Článok 39 6.
---------+Článok 39 7.
---------+Článok 39 8.
---------+Článok 39 9.
---------+Článok 39 10.
---------+Článok 39 11.
---------+Článok 39 12.
------+Článok 40 Predpoklad zhody notifikovaných osôb
------+Článok 41 Dcérske spoločnosti a subdodávatelia notifikovaných osôb
---------+Článok 41 1.
---------+Článok 41 2.
---------+Článok 41 3.
---------+Článok 41 4.
------+Článok 42 Žiadosť o notifikáciu
---------+Článok 42 1.
---------+Článok 42 2.
---------+Článok 42 3.
------+Článok 43 Postup notifikácie
---------+Článok 43 1.
---------+Článok 43 2.
---------+Článok 43 3.
---------+Článok 43 4.
---------+Článok 43 5.
---------+Článok 43 6.
------+Článok 44 Identifikačné čísla a zoznamy notifikovaných osôb
---------+Článok 44 1.
---------+Článok 44 2.
------+Článok 45 Zmeny notifikácií
---------+Článok 45 1.
---------+Článok 45 2.
------+Článok 46 Pochybnosti o odbornej spôsobilosti notifikovaných osôb
---------+Článok 46 1.
---------+Článok 46 2.
---------+Článok 46 3.
---------+Článok 46 4.
------+Článok 47 Povinnosti notifikovaných osôb pri výkone činností
---------+Článok 47 1.
---------+Článok 47 2.
---------+Článok 47 3.
---------+Článok 47 4.
---------+Článok 47 5.
---------+Článok 47 6.
------+Článok 48 Odvolanie proti rozhodnutiam notifikovaných osôb
------+Článok 49 Informačná povinnosť notifikovaných osôb
---------+Článok 49 1.
---------+Článok 49 2.
------+Článok 50 Výmena skúseností
------+Článok 51 Koordinácia notifikovaných osôb
---------+Článok 51 1.
---------+Článok 51 2.
---+KAPITOLA V DOHĽAD NAD TRHOM A PRESADZOVANIE PRÁVA
------+Článok 52 Dohľad nad trhom a kontrola produktov s digitálnymi prvkami na trhu Únie
---------+Článok 52 1.
---------+Článok 52 2.
---------+Článok 52 3.
---------+Článok 52 4.
---------+Článok 52 5.
---------+Článok 52 6.
---------+Článok 52 7.
---------+Článok 52 8.
---------+Článok 52 9.
---------+Článok 52 10.
---------+Článok 52 11.
---------+Článok 52 12.
---------+Článok 52 13.
---------+Článok 52 14.
---------+Článok 52 15.
---------+Článok 52 16.
------+Článok 53 Prístup k údajom a dokumentácii
------+Článok 54 Vnútroštátny postup pre produkty s digitálnymi prvkami, ktoré predstavujú významné kybernetickobezpečnostné riziko
---------+Článok 54 1.
---------+Článok 54 2.
---------+Článok 54 3.
---------+Článok 54 4.
---------+Článok 54 5.
---------+Článok 54 6.
---------+Článok 54 7.
---------+Článok 54 8.
---------+Článok 54 9.
------+Článok 55 Ochranný postup Únie
---------+Článok 55 1.
---------+Článok 55 2.
---------+Článok 55 3.
---------+Článok 55 4.
---------+Článok 55 5.
------+Článok 56 Postup na úrovni Únie pre produkty s digitálnymi prvkami, ktoré predstavujú významné kybernetickobezpečnostné riziko
---------+Článok 56 1.
---------+Článok 56 2.
---------+Článok 56 3.
---------+Článok 56 4.
---------+Článok 56 5.
---------+Článok 56 6.
---------+Článok 56 7.
------+Článok 57 Produkty s digitálnymi prvkami, ktoré sú v súlade a predstavujú významné kybernetickobezpečnostné riziko
---------+Článok 57 1.
---------+Článok 57 2.
---------+Článok 57 3.
---------+Článok 57 4.
---------+Článok 57 5.
---------+Článok 57 6.
---------+Článok 57 7.
---------+Článok 57 8.
---------+Článok 57 9.
---------+Článok 57 10.
---------+Článok 57 11.
------+Článok 58 Formálny nesúlad
---------+Článok 58 1.
---------+Článok 58 2.
------+Článok 59 Spoločné činnosti orgánov dohľadu nad trhom
---------+Článok 59 1.
---------+Článok 59 2.
---------+Článok 59 3.
---------+Článok 59 4.
---------+Článok 59 5.
------+Článok 60 Kontrolné akcie
---------+Článok 60 1.
---------+Článok 60 2.
---------+Článok 60 3.
---------+Článok 60 4.
---------+Článok 60 5.
---+KAPITOLA VI DELEGOVANÉ PRÁVOMOCI A POSTUP VÝBORU
------+Článok 61 Výkon delegovania právomoci
---------+Článok 61 1.
---------+Článok 61 2.
---------+Článok 61 3.
---------+Článok 61 4.
---------+Článok 61 5.
---------+Článok 61 6.
------+Článok 62 Postup výboru
---------+Článok 62 1.
---------+Článok 62 2.
---------+Článok 62 3.
---+KAPITOLA VII DÔVERNOSŤ INFORMÁCIÍ A SANKCIE
------+Článok 63 Dôvernosť informácií
---------+Článok 63 1.
---------+Článok 63 2.
---------+Článok 63 3.
---------+Článok 63 4.
------+Článok 64 Sankcie
---------+Článok 64 1.
---------+Článok 64 2.
---------+Článok 64 3.
---------+Článok 64 4.
---------+Článok 64 5.
---------+Článok 64 6.
---------+Článok 64 7.
---------+Článok 64 8.
---------+Článok 64 9.
---------+Článok 64 10.
------+Článok 65 Žaloby v zastúpení
---+KAPITOLA VIII PRECHODNÉ A ZÁVEREČNÉ USTANOVENIA
------+Článok 66 Zmena nariadenia (EÚ) 2019/1020
------+Článok 67 Zmena smernice (EÚ) 2020/1828
------+Článok 68 Zmena nariadenia (EÚ) č. 168/2013
------+Článok 69 Prechodné ustanovenia
---------+Článok 69 1.
---------+Článok 69 2.
---------+Článok 69 3.
------+Článok 70 Hodnotenie a preskúmanie
---------+Článok 70 1.
---------+Článok 70 2.
------+Článok 71 Nadobudnutie účinnosti a uplatňovanie
---------+Článok 71 1.
---------+Článok 71 2.
---+PRÍLOHA I ZÁKLADNÉ POŽIADAVKY KYBERNETICKEJ BEZPEČNOSTI
---+PRÍLOHA II INFORMÁCIE A NÁVOD PRE POUŽÍVATEĽA
---+PRÍLOHA III DÔLEŽITÉ PRODUKTY S DIGITÁLNYMI PRVKAMI
---+PRÍLOHA IV KRITICKÉ PRODUKTY S DIGITÁLNYMI PRVKAMI
---+PRÍLOHA V EÚ VYHLÁSENIE O ZHODE
---+PRÍLOHA VI ZJEDNODUŠENÉ EÚ VYHLÁSENIE O ZHODE
---+PRÍLOHA VII OBSAH TECHNICKEJ DOKUMENTÁCIE
---+PRÍLOHA VIII POSTUPY POSUDZOVANIA ZHODY
|
English -
European Union -
NARIADENIE EURÓPSKEHO PARLAMENTU A RADY (EÚ) 2024/2847 z 23. októbra 2024 o horizontálnych požiadavkách kybernetickej bezpečnosti pre produkty s digitálnymi prvkami a o zmene nariadení (EÚ) č. 168/2013 a (EÚ) 2019/1020 a smernice (EÚ) 2020/1828 (akt o kybernetickej odolnosti) (Text s významom pre EHP)
NARIADENIE EURÓPSKEHO PARLAMENTU A RADY (EÚ) 2024/2847
z 23. októbra 2024
o horizontálnych požiadavkách kybernetickej bezpečnosti pre produkty s digitálnymi prvkami a o zmene nariadení (EÚ) č. 168/2013 a (EÚ) 2019/1020 a smernice (EÚ) 2020/1828 (akt o kybernetickej odolnosti)
(Text s významom pre EHP)
Toto nariadenie je záväzné v celom rozsahu a priamo uplatniteľné vo všetkých členských štátoch.
1. Prehľad
| Názov |
Regulácia |
|
KAPITOLA I VŠEOBECNÉ USTANOVENIA
|
KAPITOLA I VŠEOBECNÉ USTANOVENIA
|
|
KAPITOLA II POVINNOSTI HOSPODÁRSKYCH SUBJEKTOV A USTANOVENIA TÝKAJÚCE SA SLOBODNÉHO SOFTVÉRU A SOFTVÉRU S OTVORENÝM ZDROJOVÝM Kódom
|
KAPITOLA II POVINNOSTI HOSPODÁRSKYCH SUBJEKTOV A USTANOVENIA TÝKAJÚCE SA SLOBODNÉHO SOFTVÉRU A SOFTVÉRU S OTVORENÝM ZDROJOVÝM Kódom
|
|
KAPITOLA III ZHODA PRODUKTU S DIGITÁLNYMI PRVKAMI
|
KAPITOLA III ZHODA PRODUKTU S DIGITÁLNYMI PRVKAMI
|
|
KAPITOLA IV NOTIFIKÁCIA ORGÁNOV POSUDZOVANIA ZHODY
|
KAPITOLA IV NOTIFIKÁCIA ORGÁNOV POSUDZOVANIA ZHODY
|
|
KAPITOLA V DOHĽAD NAD TRHOM A PRESADZOVANIE PRÁVA
|
KAPITOLA V DOHĽAD NAD TRHOM A PRESADZOVANIE PRÁVA
|
|
KAPITOLA VI DELEGOVANÉ PRÁVOMOCI A POSTUP VÝBORU
|
KAPITOLA VI DELEGOVANÉ PRÁVOMOCI A POSTUP VÝBORU
|
|
KAPITOLA VII DÔVERNOSŤ INFORMÁCIÍ A SANKCIE
|
KAPITOLA VII DÔVERNOSŤ INFORMÁCIÍ A SANKCIE
|
|
KAPITOLA VIII PRECHODNÉ A ZÁVEREČNÉ USTANOVENIA
|
KAPITOLA VIII PRECHODNÉ A ZÁVEREČNÉ USTANOVENIA
|
|
PRÍLOHA I ZÁKLADNÉ POŽIADAVKY KYBERNETICKEJ BEZPEČNOSTI
|
PRÍLOHA I
ZÁKLADNÉ POŽIADAVKY KYBERNETICKEJ BEZPEČNOSTI
Časť I Požiadavky kybernetickej bezpečnosti pre vlastností produktov s digitálnymi prvkami
1. Produkty s digitálnymi prvkami sa navrhujú, vyvíjajú a vyrábajú tak, aby sa zaistila primeraná úroveň ich kybernetickej bezpečnosti voči rizikám.
2. Produkty s digitálnymi prvkami sa na základe posúdenia kybernetickobezpečnostných rizík uvedeného v článku 13 ods. 2 a podľa potreby:
a)
sprístupňujú na trhu bez známych zneužiteľných zraniteľností;
b)
sprístupňujú na trhu v konfigurácii zabezpečenej na úrovni štandardného nastavenia, pokiaľ sa výrobca a komerčný používateľ v súvislosti s individualizovaným produktom s digitálnymi prvkami nedohodnú inak, vrátane možnosti vrátiť nastavenie produktu na pôvodné;
c)
zaisťujú, aby zraniteľnosti bolo možné riešiť bezpečnostnými aktualizáciami, prípadne aj automatickými bezpečnostnými aktualizáciami, ktoré sa inštalujú v primeranom čase aktiváciou podľa predvoleného nastavenia, s jasnou a ľahko použiteľnou možnosťou pre používateľa odmietnuť ich po oznámení o dostupných aktualizáciách a možnosti ich dočasného odkladu;
d)
zabezpečujú ochranu pred neoprávneným prístupom vhodnými mechanizmami kontroly, a to okrem iného aj systémami na správu overovania, identity alebo prístupu, a oznamujú, že došlo k možnému neoprávnenému prístupu;
e)
chránia dôvernosť uložených, vysielaných alebo inak spracúvaných osobných alebo iných údajov, napríklad šifrovaním príslušných neaktívnych alebo prenášaných údajov najmodernejšími mechanizmami, a použitím iných technických prostriedkov;
f)
chránia integritu uložených, vysielaných alebo inak spracúvaných osobných alebo iných údajov, príkazov, programov a konfigurácie proti akejkoľvek manipulácii alebo úprave, ktorú neschválil používateľ, a oznamujú prípady poškodenia;
g)
spracúvajú iba osobné alebo iné údaje, ktoré sú primerané, relevantné a obmedzené na to, čo je potrebné vo vzťahu k účelu produktu s digitálnymi prvkami (minimalizácia údajov), na ktorý bol určený;
h)
chránia dostupnosť hlavných a základných funkcií aj po incidente, a to aj prostredníctvom opatrení na zvýšenie odolnosti a zmiernenie útokov na vyradenie služby;
i)
minimalizujú nepriaznivý vplyv samotných produktov alebo pripojených zariadení na dostupnosť služieb iných zariadení alebo sietí;
j)
navrhujú, vyvíjajú a vyrábajú na obmedzenie plochy útoku vrátane externých rozhraní;
k)
navrhujú, vyvíjajú a vyrábajú na obmedzenie vplyvu incidentu s využitím vhodných mechanizmov a techník na zmiernenie zneužitia zraniteľností;
l)
poskytujú bezpečnostné informácie zaznamenávaním a monitorovaním príslušnej internej činnosti vrátane prístupu k údajom, službám alebo funkciám a ich zmene s mechanizmom odmietnutia (opt-out) pre používateľa;
m)
poskytujú používateľom možnosť bezpečne a jednoducho natrvalo odstrániť všetky údaje a nastavenia a ak takéto údaje možno preniesť do iných produktov alebo systémov, zabezpečiť, aby sa tak dialo bezpečne.
Časť II Požiadavky na riešenie zraniteľností
Výrobcovia produktov s digitálnymi prvkami:
1.
identifikujú a dokumentujú zraniteľnosti a komponenty v produktoch s digitálnymi prvkami, a to aj zostavením zoznamu softvéru v obvykle používanom strojovo čitateľnom formáte, ktorý obsahuje závislosti produktu minimálne na najvyššej úrovni;
2.
vo vzťahu k rizikám, ktorým sú vystavené produkty s digitálnymi prvkami, bezodkladne riešia a naprávajú zraniteľnosti, a to aj poskytovaním bezpečnostných aktualizácií; ak je to technicky možné, nové bezpečnostné aktualizácie sa poskytujú oddelene od aktualizácií funkcií;
3.
vykonávajú účinné a pravidelné testy a kontroly zabezpečenia produktu s digitálnymi prvkami;
4.
po sprístupnení bezpečnostnej aktualizácie poskytujú a zverejňujú informácie o opravených zraniteľnostiach vrátane opisu zraniteľností, informácie umožňujúce používateľom identifikovať postihnutý produkt s digitálnymi prvkami, vplyvy zraniteľností, ich závažnosť a jasné a prístupné informácie, ktoré používateľom pomôžu zraniteľnosti napraviť; keď sa výrobcovia domnievajú, že bezpečnostné riziká zverejnenia prevažujú nad bezpečnostnými prínosmi, v riadne odôvodnených prípadoch môžu odložiť zverejnenie informácií o vyriešenej zraniteľnosti dovtedy, kým používateľom neposkytnú možnosť použiť príslušnú záplatu;
5.
zavádzajú a presadzujú politiku koordinovaného zverejňovania informácií o zraniteľnostiach;
6.
prijímajú opatrenia na uľahčenie výmeny informácií o potenciálnych zraniteľnostiach svojho produktu s digitálnymi prvkami, ako aj komponentov tretích strán vo svojom produkte, a to aj poskytnutím kontaktnej adresy na oznamovanie zraniteľností zistených v produkte s digitálnymi prvkami;
7.
zaistia mechanizmy bezpečnej distribúcie aktualizácií pre produkty s digitálnymi prvkami s cieľom zabezpečiť včasnú opravu zraniteľností alebo ich zmiernenie a aby sa v relevantnom prípade bezpečnostné aktualizácie uskutočňovali automaticky;
8.
ak sú k dispozícii bezpečnostné aktualizácie na riešenie zistených bezpečnostných problémov, zabezpečujú ich bezodkladné šírenie a ak sa výrobca a komerčný používateľ nedohodli v súvislosti s individualizovaným produktom s digitálnymi prvkami inak, bezplatné šírenie sprievodných informačných správ s relevantnými informáciami pre používateľov, aj o možných potrebných krokoch.
|
|
PRÍLOHA II INFORMÁCIE A NÁVOD PRE POUŽÍVATEĽA
|
PRÍLOHA II
INFORMÁCIE A NÁVOD PRE POUŽÍVATEĽA
K produktu s digitálnymi prvkami sa priloží aspoň:
1.
meno, registrované obchodné meno alebo registrovaná ochranná známka výrobcu, poštová adresa, e-mailová adresa alebo iný digitálny kontakt, a ak je k dispozícii, aj webové sídlo, na ktorom možno výrobcu kontaktovať;
2.
jednotné kontaktné miesto, na ktorom možno oznamovať a prijímať informácie o zraniteľnostiach produktu s digitálnymi prvkami a kde sa nachádza politika výrobcu pre koordinované oznámenia o zraniteľnostiach;
3.
názov a typ produktu s digitálnymi prvkami a akékoľvek doplňujúce informácie umožňujúce jeho jedinečnú identifikáciu;
4.
plánovaný účel produktu s digitálnymi prvkami vrátane bezpečnostného prostredia poskytovaného výrobcom, ako aj základné funkcie produktu a informácie o bezpečnostných vlastnostiach;
5.
každá známa alebo predvídateľná okolnosť v súvislosti s použitím produktu s digitálnymi prvkami v súlade s jeho plánovaným účelom alebo za podmienok logicky predvídateľného nesprávneho použitia, ktoré môže viesť k významným kybernetickobezpečnostným rizikám;
6.
v relevantnom prípade internetová adresa, na ktorej možno nájsť EÚ vyhlásenie o zhode;
7.
druh technickej bezpečnostnej podpory, ktorú ponúka výrobca, a posledný deň obdobia podpory, počas ktorého môžu používatelia predpokladať riešenie zraniteľností a poskytovanie bezpečnostných aktualizácií;
8.
podrobný návod alebo internetová adresa s odkazom na takýto podrobný návod a informácie o:
a)
opatreniach potrebných na zaistenie bezpečného používania produktu s digitálnymi prvkami pri prvom uvedení do prevádzky a počas celej jeho životnosti;
b)
možnom vplyve zmien produktu s digitálnymi prvkami na bezpečnosť údajov;
c)
postupe pri inštalácii bezpečnostných aktualizácií;
d)
bezpečnom vyradení produktu s digitálnymi prvkami z prevádzky vrátane informácií o možnosti bezpečného odstránenia údajov používateľa;
e)
spôsobe vypnutia predvoleného nastavenia umožňujúceho automatickú inštaláciu bezpečnostných aktualizácií, ako sa vyžaduje v časti I bode 2 písm. c) prílohy I;
f)
tom, čo potrebuje integrátor na splnenie základných požiadaviek kybernetickej bezpečnosti stanovených v prílohe I a o požiadavkách na dokumentáciu stanovených v prílohe VII, ak je produkt s digitálnymi prvkami určený na zabudovanie do iných produktov s digitálnymi prvkami.
9.
Ak sa výrobca rozhodne sprístupniť zoznam softvéru používateľovi, informácie o tom, kde možno prístup k tomuto zoznamu softvéru získať.
|
|
PRÍLOHA III DÔLEŽITÉ PRODUKTY S DIGITÁLNYMI PRVKAMI
|
PRÍLOHA III
DÔLEŽITÉ PRODUKTY S DIGITÁLNYMI PRVKAMI
Trieda I
1. Systémy správy identifikačných údajov a softvér a hardvér na správu privilegovaného prístupu vrátane čítačiek na autentifikáciu a kontrolu prístupu vrátane biometrických čítačiek.
2. Samostatné a zabudované prehliadače.
4. Softvér na vyhľadávanie, odstraňovanie alebo uzatváranie škodlivého softvéru do karantény.
5. Produkty s digitálnymi prvkami s funkciou virtuálnej neverejnej siete (VPN).
7. Systémy riadenia bezpečnostných informácií a udalostí (SIEM).
9. Infraštruktúra verejných kľúčov a softvér na vytváranie elektronických certifikátov.
10. Fyzické a virtuálne sieťové rozhrania.
12. Smerovače, modemy určené na pripojenie k internetu a prepínače.
13. Mikroprocesory s bezpečnostnými funkciami.
14. Mikroradiče s bezpečnostnými funkciami.
15. Integrované obvody pre konkrétne aplikácie (ASIC) a logické hradlá programovateľné po výrobe (FPGA) s bezpečnostnými funkciami.
16. Virtuálni asistenti pre inteligentné domácnosti na všeobecné účely.
17. Produkty pre inteligentné domácnosti s bezpečnostnými funkciami vrátane inteligentných zámkov dverí, bezpečnostných kamier, systémov na monitorovanie detí a poplašných systémov.
18. Hračky pripojené na internet, na ktoré sa vzťahuje smernica Európskeho parlamentu a Rady 2009/48/ES (
4
) s funkciami na spoločenskú interakciu (napr. hovorenie alebo filmovanie) alebo s funkciami sledovania polohy.
19. Produkty, ktoré sa majú nosiť alebo byť umiestnené na ľudskom tele na účely zdravotného monitorovania (napríklad sledovanie) a na ktoré sa nevzťahuje nariadenie (EÚ) 2017/745 ani (EÚ) 2017/746, alebo produkty na nosenie na tele určené na použitie deťmi a pre deti.
Trieda II
1. Hypervízory a kontajnerové systémy režimu runtime, ktoré podporujú virtualizované spúšťanie operačných systémov a podobných prostredí.
2. Brány firewall, systémy na detekciu a prevenciu narušení.
3. Mikroprocesory odolné proti neoprávnenej manipulácii.
4. Mikroovládače odolné proti neoprávnenej manipulácii.
|
|
PRÍLOHA IV KRITICKÉ PRODUKTY S DIGITÁLNYMI PRVKAMI
|
PRÍLOHA IV
KRITICKÉ PRODUKTY S DIGITÁLNYMI PRVKAMI
1. Hardvérové zariadenia s bezpečnostnými schránkami.
2. Prístroje smart meter gateway v inteligentných meracích systémoch vymedzených v článku 2 bode 23 smernice Európskeho parlamentu a Rady (EÚ) 2019/944 (
5
) a iné zariadenia na vyššie bezpečnostné účely vrátane bezpečného kryptografického spracovania.
3. Čipové karty alebo podobné zariadenia s bezpečnostnými prvkami.
|
|
PRÍLOHA V EÚ VYHLÁSENIE O ZHODE
|
PRÍLOHA V
EÚ VYHLÁSENIE O ZHODE
EÚ vyhlásenie o zhode uvedené v článku 28 obsahuje všetky tieto informácie:
1.
názov a druh a akékoľvek doplňujúce informácie umožňujúce jedinečnú identifikáciu produktu s digitálnymi prvkami;
2.
meno a adresa výrobcu alebo jeho splnomocneného zástupcu;
3.
vyhlásenie o tom, že EÚ vyhlásenie o zhode sa vydáva na výhradnú zodpovednosť poskytovateľa;
4.
predmet vyhlásenia (identifikácia produktu s digitálnymi prvkami umožňujúcimi dosledovateľnosť, ktorej súčasťou môže byť podľa potreby aj fotografia);
5.
vyhlásenie o tom, že predmet opísaný v uvedenom vyhlásení sa zhoduje s príslušnými požiadavkami harmonizačných právnych predpisov Únie;
6.
odkazy na všetky použité príslušné harmonizované normy alebo inú spoločnú špecifikáciu alebo certifikáciu kybernetickej bezpečnosti, v súvislosti s ktorými sa zhoda vyhlasuje;
7.
prípadne meno a identifikačné číslo notifikovanej osoby, opis použitého postupu posudzovania zhody a identifikácia vydaného certifikátu;
8.
doplňujúce informácie:
podpis za a v mene:
(miesto a dátum vydania):
(meno, funkcia) (podpis):
|
|
PRÍLOHA VI ZJEDNODUŠENÉ EÚ VYHLÁSENIE O ZHODE
|
PRÍLOHA VI
ZJEDNODUŠENÉ EÚ VYHLÁSENIE O ZHODE
Zjednodušené EÚ vyhlásenie o zhode uvedené v článku 13 ods. 20 má takéto znenie:
… [meno výrobcu] týmto vyhlasuje, že produkt s digitálnymi prvkami typu … [označenie typu produktu s digitálnym prvkom] je v súlade s nariadením (EÚ) 2024/2847 (
6
). Úplné znenie EÚ vyhlásenia o zhode je k dispozícii na tejto internetovej adrese: …
|
|
PRÍLOHA VII OBSAH TECHNICKEJ DOKUMENTÁCIE
|
PRÍLOHA VII
OBSAH TECHNICKEJ DOKUMENTÁCIE
Technická dokumentácia uvedená v článku 31 obsahuje aspoň tieto informácie o príslušnom produkte s digitálnymi prvkami:
1.
všeobecný opis produktu s digitálnymi prvkami vrátane:
b)
verzií softvéru, ktoré majú vplyv na súlad so základnými požiadavkami kybernetickej bezpečnosti;
c)
ak je produkt s digitálnymi prvkami hardvérovým produktom, fotografií alebo ilustrácií jeho vonkajšieho vzhľadu, označenia a vnútornej štruktúry;
d)
informácií pre používateľa a návodu uvedených v prílohe II;
2.
opis riešenia, vývoja a výroby produktu s digitálnymi prvkami a postupov riešenia zraniteľností vrátane:
a)
nevyhnutných informácií o návrhu a vývoji produktu s digitálnymi prvkami, v relevantnom prípade aj výkresov, schém a opisu architektúry systému s vysvetlením vzájomných vzťahov alebo prepojenia softvérových komponentov a ich zapojenia do celkového spracovania;
b)
nevyhnutných informácií o postupoch riešenia zraniteľností zavedených výrobcom a špecifikácií týchto postupov vrátane zoznamu softvéru, politiky koordinovaného zverejňovania informácií o zraniteľnostiach, dôkazu o poskytnutí kontaktnej adresy na ohlasovanie zraniteľností a opisu technických riešení zvolených na bezpečnú distribúciu aktualizácií;
c)
nevyhnutných informácií o postupoch výroby a monitorovania produktu s digitálnymi prvkami, ich špecifikácií a validácie uvedených postupov;
3.
posúdenie kybernetickobezpečnostných rizík, proti ktorým je produkt s digitálnymi prvkami navrhnutý, vyvinutý, vyrobený, dodávaný a udržiavaný podľa článku 13 vrátane spôsobu uplatňovania základných požiadaviek kybernetickej bezpečnosti stanovených v časti I prílohy I;
4.
relevantné informácie zohľadnené pri určovaní obdobia podpory podľa článku 13 ods. 8 pre produkt s digitálnymi prvkami;
5.
zoznam harmonizovaných noriem uplatnených plne alebo čiastočne, na ktoré boli uverejnené odkazy v Úradnom vestníku Európskej únie, spoločné špecifikácie podľa článku 27 tohto nariadenia alebo európske schémy certifikácie kybernetickej bezpečnosti prijaté podľa nariadenia (EÚ) 2019/881 a v zmysle článku 27 ods. 8 tohto nariadenia, a ak neboli uplatnené uvedené harmonizované normy, spoločné špecifikácie ani európske schémy certifikácie kybernetickej bezpečnosti, opisy riešení prijatých na účely splnenia základných požiadaviek kybernetickej bezpečnosti stanovených v častiach I a II prílohy I vrátane zoznamu ostatných uplatnených relevantných technických špecifikácií; v prípade čiastočného uplatnenia harmonizovaných noriem, spoločných špecifikácií alebo európskych schém certifikácie kybernetickej bezpečnosti sa v technickej dokumentácii špecifikujú časti, ktoré boli uplatnené;
6.
správy o skúškach vykonaných na overenie zhody produktu s digitálnymi prvkami a postupov riešenia zraniteľností s uplatniteľnými základnými požiadavkami kybernetickej bezpečnosti stanovenými v častiach I a II prílohy I;
7.
kópia EÚ vyhlásenia o zhode;
8.
v relevantnom prípade zoznam softvéru na základe odôvodnenej žiadosti orgánu dohľadu nad trhom, ak je to potrebné na to, aby bol tento orgán schopný skontrolovať súlad so základnými požiadavkami kybernetickej bezpečnosti stanovenými v prílohe I.
|
|
PRÍLOHA VIII POSTUPY POSUDZOVANIA ZHODY
|
PRÍLOHA VIII
POSTUPY POSUDZOVANIA ZHODY
Časť I Postup posudzovania zhody na základe vnútornej kontroly (podľa modulu A)
1. Vnútorná kontrola je postup posudzovania zhody, ktorým si výrobca plní povinnosti stanovené v bodoch 2, 3 a 4 tejto časti a na svoju výhradnú zodpovednosť zaručuje a vyhlasuje, že produkty s digitálnymi prvkami vyhovujú všetkým základným požiadavkám kybernetickej bezpečnosti stanoveným v časti I prílohy I a že výrobca spĺňa základné požiadavky kybernetickej bezpečnosti stanovené v časti II prílohy I.
2. Výrobca vypracuje technickú dokumentáciu opísanú v prílohe VII.
3. Návrh, vývoj, výroba a riešenie zraniteľností produktov s digitálnymi prvkami
Výrobca prijme všetky opatrenia potrebné na to, aby sa postupmi navrhovania, vývoja, výroby a riešenia zraniteľností a ich monitorovaním zabezpečil súlad vyrábaných alebo vyvíjaných produktov s digitálnymi prvkami a postupov zavedených výrobcom so základnými požiadavkami kybernetickej bezpečnosti stanovenými v častiach I a II prílohy I.
4. Označenie zhody a vyhlásenie o zhode
4.1. Výrobca umiestňuje označenie CE na každý jednotlivý produkt s digitálnymi prvkami, ktorý vyhovuje príslušným požiadavkám stanoveným v tomto nariadení.
4.2. Výrobca vypracuje písomné EÚ vyhlásenie o zhode pre každý produkt s digitálnymi prvkami v súlade s článkom 28 a uchováva ho spolu s technickou dokumentáciou k dispozícii pre vnútroštátne orgány 10 rokov po uvedení produktu s digitálnymi prvkami na trh alebo počas obdobia podpory, podľa toho, čo trvá dlhšie. V EÚ vyhlásení o zhode sa identifikuje produkt s digitálnymi prvkami, pre ktorý bolo vyhlásenie vypracované. Príslušným orgánom sa poskytuje kópia EÚ vyhlásenia o zhode na požiadanie.
5. Splnomocnení zástupcovia
Povinnosti výrobcu stanovené v bode 4 môžu byť v jeho mene a na jeho zodpovednosť splnené jeho splnomocneným zástupcom za predpokladu, že príslušné povinnosti sú uvedené v splnomocnení.
Časť II EÚ skúška typu (podľa modulu B)
1. EÚ skúška typu je súčasťou postupu posudzovania zhody, pri ktorej notifikovaná osoba preskúma technický návrh a vývoj produktu s digitálnymi prvkami a postupy riešenia zraniteľností zavedené výrobcom, a potvrdí, že produkt s digitálnymi prvkami vyhovuje základným požiadavkám kybernetickej bezpečnosti stanoveným v časti I prílohy I a že výrobca spĺňa základné požiadavky kybernetickej bezpečnosti stanovené v časti II prílohy I.
2. EÚ skúška typu sa vykonáva posúdením primeranosti technického návrhu a vývoja produktu s digitálnymi prvkami preskúmaním technickej dokumentácie a podpornej dokumentácie uvedenými v bode 3 a preskúmaním vzoriek jednej alebo viacerých kritických častí produktu (kombinácia typovej výroby a typového návrhu).
3. Žiadosť o EÚ skúšku typu predkladá výrobca jedinej notifikovanej osobe podľa vlastného výberu.
Žiadosť obsahuje:
3.1.
meno a adresu výrobcu a ak žiadosť podáva jeho splnomocnený zástupca, meno a adresu tohto splnomocneného zástupcu;
3.2.
písomné vyhlásenie o tom, že rovnaká žiadosť nebola podaná inej notifikovanej osobe,
3.3.
technickú dokumentáciu, ktorá má umožniť posúdenie zhody produktu s digitálnymi prvkami s uplatniteľnými základnými požiadavkami kybernetickej bezpečnosti stanovenými v časti I prílohy I a postupov riešenia zraniteľností zavedených výrobcom stanovených v časti II prílohy I a musí obsahovať primeranú analýzu a posúdenie rizík; v technickej dokumentácii sa uvedú príslušné požiadavky a zahrnie sa do nej, ak je to z hľadiska posudzovania relevantné, návrh, výroba a používanie produktu s digitálnymi prvkami; technická dokumentácia obsahuje vždy, keď je to potrebné, aspoň prvky uvedené v prílohe VII;
3.4.
podporné dôkazy o primeranosti technického návrhu, riešení vývoja a postupov riešenia zraniteľností; v týchto podporných dôkazoch sa uvádzajú všetky dokumenty, ktoré sa použili, predovšetkým v tých prípadoch, keď sa príslušné harmonizované normy alebo technické špecifikácie nepoužili v plnom rozsahu; podporné dôkazy v prípade potreby zahŕňajú výsledky skúšok, ktoré vykonalo vhodné laboratórium výrobcu alebo iné skúšobné laboratórium v jeho mene a na jeho zodpovednosť.
4.1.
preskúma technickú dokumentáciu a podporné dôkazy s cieľom posúdiť primeranosť technického návrhu a vývoja produktu s digitálnymi prvkami vzhľadom na základné požiadavky kybernetickej bezpečnosti stanovené v časti I prílohy I a postupy riešenia zraniteľností zavedené výrobcom vzhľadom na základné požiadavky kybernetickej bezpečnosti stanovené v časti II prílohy I;
4.2.
overí, či vzorky boli vyvinuté alebo vyrobené v súlade s technickou dokumentáciou, a určí prvky, ktoré boli navrhnuté a vyvinuté v súlade s uplatniteľnými ustanoveniami relevantných harmonizovaných noriem alebo technickými špecifikáciami, ako aj prvky, ktoré boli navrhnuté a vyvinuté bez uplatnenia príslušných ustanovení týchto noriem;
4.3.
vykoná alebo dá vykonať vhodné preskúmania a skúšky s cieľom skontrolovať, že v prípade, keď sa výrobca pri požiadavkách stanovených v prílohe I rozhodol uplatniť riešenia uvedené v príslušných harmonizovaných normách alebo technických špecifikáciách, boli uplatnené správne;
4.4.
vykoná alebo dá vykonať vhodné preskúmania a skúšky s cieľom skontrolovať, že v prípade, keď pri požiadavkách stanovených v prílohe I riešenia uvedené v príslušných harmonizovaných normách alebo technických špecifikáciách neboli uplatnené, riešenia prijaté výrobcom spĺňajú zodpovedajúce základné požiadavky kybernetickej bezpečnosti;
4.5.
dohodne s výrobcom miesto, kde sa vykonajú skúšky a testy.
5. Notifikovaná osoba vypracuje hodnotiacu správu, v ktorej zaznamená činnosti vykonané v súlade s bodom 4 a ich výsledky. Bez ohľadu na svoje povinnosti voči notifikujúcim orgánom notifikovaná osoba sprístupňuje úplný alebo čiastočný obsah uvedenej správy iba so súhlasom výrobcu.
6. Ak typ a postupy riešenia zraniteľností spĺňajú základné požiadavky kybernetickej bezpečnosti stanovené v prílohe I, notifikovaná osoba vydá výrobcovi certifikát EÚ skúšky typu. Certifikát obsahuje meno a adresu výrobcu, závery preskúmania, podmienky jeho platnosti (ak existujú) a údaje potrebné na určenie schváleného typu a postupov riešenia zraniteľností. K certifikátu možno pripojiť jednu alebo viac príloh.
Certifikát a jeho prílohy obsahujú všetky príslušné informácie, ktoré umožňujú vyhodnotenie zhody vyrobených alebo vyvinutých produktov s digitálnymi prvkami s preskúmaným typom a postupmi riešenia zraniteľností a umožňujú kontrolu za prevádzky.
Ak typ a postupy riešenia zraniteľností nespĺňajú uplatniteľné základné požiadavky kybernetickej bezpečnosti stanovené v prílohe I, notifikovaná osoba odmietne vydať certifikát EÚ skúšky typu a náležite o tom informuje žiadateľa, pričom uvedie podrobné dôvody odmietnutia.
7. Notifikovaná osoba sa oboznámi so všetkými zmenami v súvislosti so všeobecne uznávaným stavom techniky, ktoré naznačujú, že schválený typ a postupy riešenia zraniteľností už nemusia spĺňať uplatniteľné základné požiadavky kybernetickej bezpečnosti stanovené v prílohe I, a stanoví, či si takéto zmeny vyžadujú ďalšie prešetrenie. Ak áno, notifikovaná osoba o tom informuje výrobcu.
Výrobca informuje notifikovanú osobu, ktorá má technickú dokumentáciu týkajúcu sa certifikátu EÚ skúšky typu, o všetkých úpravách schváleného typu a postupoch riešenia zraniteľností, ktoré môžu ovplyvniť zhodu so základnými požiadavkami kybernetickej bezpečnosti stanovenými v prílohe I, alebo s podmienkami platnosti certifikátu. Takéto zmeny si vyžadujú dodatočné schválenie vo forme dodatku k pôvodnému certifikátu EÚ skúšky typu.
8. Notifikovaná osoba vykonáva pravidelné audity s cieľom zabezpečiť primerané vykonávanie postupov riešenia zraniteľností stanovených v časti II prílohy I.
9. Každá notifikovaná osoba informuje svoje notifikujúce orgány o certifikátoch EÚ skúšky typu a ich dodatkoch, ktoré vydala alebo zrušila, a pravidelne alebo na ich žiadosť poskytuje svojim notifikujúcim orgánom zoznam certifikátov a dodatkov k nim, ktoré boli zamietnuté, pozastavené alebo inak obmedzené.
Každá notifikovaná osoba informuje ostatné notifikované osoby o certifikátoch EÚ skúšky typu a akýchkoľvek dodatkoch k nim, ktoré zamietla, odňala, pozastavila alebo inak obmedzila, a na požiadanie ich informuje o certifikátoch a dodatkoch k nim, ktoré vydala.
Komisia, členské štáty a ostatné notifikované osoby môžu na žiadosť získať kópiu certifikátov EÚ skúšky typu a akýchkoľvek dodatkov k nim. Komisia a členské štáty môžu na požiadanie získať kópiu technickej dokumentácie a výsledkov skúšok, ktoré vykonala notifikovaná osoba. Do uplynutia platnosti certifikátu uchováva notifikovaná osoba kópiu certifikátu EÚ skúšky typu, jeho príloh a dodatkov, ako aj technické podklady vrátane dokumentácie poskytnutej zo strany výrobcu.
10. Výrobca uchováva kópiu certifikátu EÚ skúšky typu, jeho príloh a dodatkov k nemu spolu s technickou dokumentáciou k dispozícii pre vnútroštátne orgány 10 rokov po uvedení produktu s digitálnymi prvkami na trh alebo počas obdobia podpory, podľa toho, čo trvá dlhšie.
11. Splnomocnený zástupca výrobcu môže podať žiadosť uvedenú v bode 3 a plniť povinnosti stanovené v bodoch 7 a 10 za predpokladu, že príslušné povinnosti sú uvedené v splnomocnení.
Časť III Zhoda s typom na základe vnútornej kontroly výroby (podľa modulu C)
1. Zhoda s typom na základe na vnútornej kontrole výroby je tou časťou postupu posudzovania zhody, v ktorej výrobca plní povinnosti stanovené v bodoch 2 a 3 tejto časti a zabezpečuje a vyhlasuje, že dotknuté produkty s digitálnymi prvkami sú v zhode s typom opísaným v certifikáte EÚ skúšky typu a spĺňajú základné požiadavky kybernetickej bezpečnosti stanovené v časti I prílohy I a že výrobca spĺňa základné požiadavky kybernetickej bezpečnosti stanovené v časti II prílohy I.
Výrobca prijme všetky opatrenia potrebné na to, aby sa výrobou a jej monitorovaním zabezpečila zhoda vyrobených produktov s digitálnymi prvkami so schváleným typom opísaným v certifikáte EÚ skúšky typu a so základnými požiadavkami kybernetickej bezpečnosti stanovenými v časti I prílohy I a zabezpečuje, aby výrobca spĺňal základné požiadavky kybernetickej bezpečnosti stanovené v časti II prílohy I.
3. Označenie zhody a vyhlásenie o zhode
3.1.
Výrobca umiestňuje označenie CE na každý jednotlivý produkt s digitálnymi prvkami, ktorý je v súlade s typom opísaným v certifikáte EÚ skúšky typu a spĺňa príslušné požiadavky stanovené v tomto nariadení.
3.2.
Pre model produktu vydá výrobca písomné vyhlásenie o zhode, ktoré uchováva k dispozícii pre vnútroštátne orgány 10 rokov od uvedenia produktu s digitálnymi prvkami na trh alebo počas obdobia podpory podľa toho, čo trvá dlhšie. Vo vyhlásení o zhode sa uvedie model produktu, pre ktorý bolo vydané. Kópiu vyhlásenia o zhode na požiadanie sprístupní príslušným orgánom.
Povinnosti výrobcu stanovené v bode 3 môžu byť v jeho mene a na jeho zodpovednosť splnené jeho splnomocneným zástupcom za predpokladu, že príslušné povinnosti sú uvedené v splnomocnení.
Časť IV Zhoda na základe plného zabezpečenia kvality (podľa modulu H)
1. Zhoda na základe plného zabezpečenia kvality je postup posudzovania zhody, ktorým si výrobca splní povinnosti stanovené v bodoch 2 a 5 tejto časti a na svoju výhradnú zodpovednosť zaručí a vyhlási, že dotknuté produkty s digitálnymi prvkami alebo dotknuté kategórie produktov vyhovujú základným požiadavkám kybernetickej bezpečnosti stanoveným v časti I prílohy I a že postupy riešenia zraniteľností zavedené výrobcom spĺňajú požiadavky stanovené v časti II prílohy I.
2. Návrh, vývoj, výroba a riešenie zraniteľností produktov s digitálnymi prvkami
Výrobca prevádzkuje schválený systém kvality špecifikovaný v bode 3 pre návrh, vývoj, finálnu kontrolu a testovanie dotknutých produktov s digitálnymi prvkami a riešenie zraniteľností, udržiava jeho účinnosť počas celého obdobia podpory a podrobuje ho dohľadu tak, ako je špecifikovaný v bode 4.
3.1.
Výrobca podáva žiadosť o posúdenie svojho systému kvality pre príslušné produkty s digitálnymi prvkami notifikovanej osobe podľa vlastného výberu.
Žiadosť obsahuje:
a)
meno a adresu výrobcu a v prípade, že žiadosť podáva jeho splnomocnený zástupca, meno a adresu tohto splnomocneného zástupcu;
b)
technickú dokumentáciu jedného modelu z každej kategórie produktov s digitálnymi prvkami, ktoré sa majú vyrábať alebo vyvíjať; technická dokumentácia v relevantnom prípade obsahuje aspoň prvky uvedené v prílohe VII;
c)
dokumentáciu o systéme kvality; a
d)
písomné vyhlásenie, že tá istá žiadosť nebola podaná inej notifikovanej osobe.
3.2.
Systém kvality zabezpečuje súlad produktov s digitálnymi prvkami so základnými požiadavkami kybernetickej bezpečnosti stanovenými v časti I prílohy I a súlad postupov riešenia zraniteľností zavedených výrobcom s požiadavkami stanovenými v časti II prílohy I.
Všetky prvky, požiadavky a opatrenia prijaté výrobcom sa systematicky a usporiadane zdokumentujú vo forme písomných zásad, postupov a návodu. Táto dokumentácia systému kvality umožňuje dôsledný výklad programov, plánov, príručiek a záznamov týkajúcich sa kvality.
Musí obsahovať najmä primeraný opis:
a)
cieľov kvality a organizačnej štruktúry, povinností a právomocí manažmentu vzhľadom na kvalitu návrhu, vývoja a produktov a riešenie zraniteľností;
b)
technických špecifikácií pre navrhovanie a vývoj vrátane noriem, ktoré sa budú uplatňovať, a ak sa príslušné harmonizované normy alebo technické špecifikácie nebudú uplatňovať v plnom rozsahu, prostriedkov, ktoré sa použijú na zabezpečenie splnenia základných požiadaviek kybernetickej bezpečnosti stanovených v časti I prílohy I, ktoré sa na produkty s digitálnymi prvkami vzťahujú;
c)
procesných špecifikácií vrátane noriem, ktoré sa budú uplatňovať, a ak sa príslušné harmonizované normy alebo technické špecifikácie nebudú uplatňovať v plnom rozsahu, prostriedkov, ktoré sa použijú na zabezpečenie splnenia základných požiadaviek kybernetickej bezpečnosti stanovených v časti II prílohy I, ktoré sa vzťahujú na výrobcu;
d)
kontroly návrhu a vývoja, ako aj techník overovania návrhu a vývoja, postupov a systematických činností, ktoré sa použijú pri navrhovaní a vývoji produktov s digitálnymi prvkami v dotknutej kategórii produktov;
e)
zodpovedajúcich techník, postupov a systematických činností výroby, kontroly a zabezpečovania kvality, ktoré sa budú používať;
f)
overovaní a skúšok, ktoré sa budú vykonávať pred výrobou, počas výroby a po nej, vrátane časových intervalov, v ktorých sa budú vykonávať;
g)
záznamov o kvalite, ako sú správy o kontrolách a údaje o skúškach, kalibračné údaje a správy o kvalifikácii dotknutých zamestnancov;
h)
prostriedkov monitorovania požadovanej kvality návrhu a produktu a účinnej prevádzky systému kvality.
3.3.
Notifikovaná osoba posúdi systém kvality s cieľom určiť, či spĺňa požiadavky uvedené v bode 3.2.
V prípade prvkov systému kvality, ktoré sú v zhode s príslušnými špecifikáciami vnútroštátnej normy, ktorou sa vykonáva príslušná harmonizovaná norma alebo technické špecifikácie, predpokladá zhodu s týmito požiadavkami.
Okrem skúseností v oblasti systémov riadenia kvality musí mať audítorský tím aspoň jedného člena so skúsenosťami v posudzovaní príslušnej oblasti produktov a dotknutej technológie produktov a musí byť oboznámený s príslušnými požiadavkami stanovenými v tomto nariadení. Súčasťou auditu je hodnotiaca návšteva v priestoroch výrobcu, pokiaľ takéto priestory existujú. Audítorský tím preskúmava technickú dokumentáciu uvedenú v bode 3.1 písm. b) s cieľom overiť schopnosť výrobcu identifikovať príslušné požiadavky stanovené v tomto nariadení a vykonať potrebné preskúmania na zabezpečenie súladu produktu s digitálnymi prvkami s uvedenými požiadavkami.
Rozhodnutie sa oznámi výrobcovi alebo jeho splnomocnenému zástupcovi.
V oznámení sa uvedú závery auditu a odôvodnené rozhodnutie o posúdení.
3.4.
Výrobca sa zaväzuje, že splní povinnosti vyplývajúce zo systému kvality tak, ako bol schválený, a bude ho udržiavať tak, aby zostal primeraný a účinný.
3.5.
Výrobca informuje notifikovanú osobu, ktorá systém kvality schválila, o každej zamýšľanej zmene tohto systému.
Notifikovaná osoba vyhodnotí všetky navrhované zmeny a rozhodne, či upravený systém kvality bude naďalej spĺňať požiadavky uvedené v bode 3.2, alebo je potrebné opätovné posúdenie.
Svoje rozhodnutie oznámi výrobcovi. V oznámení uvedie závery preskúmania a odôvodnené rozhodnutie o posúdení.
4. Dohľad, za ktorý zodpovedá notifikovaná osoba
4.1.
Cieľom dohľadu je zabezpečiť, aby si výrobca riadne plnil povinnosti vyplývajúce zo schváleného systému kvality.
4.2.
Na účely posúdenia umožní výrobca notifikovanej osobe vstup do priestorov určených na navrhovanie, vývoj, výrobu, kontrolu, testovanie a skladovanie a poskytne jej všetky potrebné informácie, najmä:
a)
dokumentáciu systému kvality;
b)
záznamy o kvalite, ako sú stanovené v časti systému kvality pre navrhovanie, ako sú napríklad výsledky analýz, výpočtov a skúšok;
c)
záznamy o kvalite, ako sú stanovené v časti systému kvality pre výrobu, napríklad správy o kontrolách a údaje zo skúšok, kalibračné údaje a správy o kvalifikácii dotknutých zamestnancov.
4.3.
Notifikovaná osoba vykonáva pravidelné audity s cieľom zabezpečiť, aby výrobca udržiaval a uplatňoval systém kvality, a výrobcovi poskytuje správu o audite.
5. Označenie zhody a vyhlásenie o zhode
5.1.
Na každý jednotlivý produkt s digitálnymi prvkami, ktorý spĺňa požiadavky stanovené v časti I prílohy I, umiestni výrobca označenie CE a na zodpovednosť notifikovanej osoby uvedenej v bode 3.1 jej identifikačné číslo.
5.2.
Výrobca vydá pre každý model produktu písomné vyhlásenie o zhode, ktoré uchováva k dispozícii pre vnútroštátne orgány 10 rokov od uvedenia produktu s digitálnymi prvkami na trh alebo počas obdobia podpory podľa toho, čo trvá dlhšie. Vo vyhlásení o zhode sa uvedie model produktu, pre ktorý bolo vydané.
Kópiu vyhlásenia o zhode na požiadanie sprístupní príslušným orgánom.
6. Najmenej 10 rokov od uvedenia produktu s digitálnymi prvkami na trh alebo počas obdobia podpory podľa toho, čo trvá dlhšie, uchováva výrobca pre potreby vnútroštátnych orgánov:
a)
technickú dokumentáciu uvedenú v bode 3.1;
b)
dokumentáciu systému kvality uvedenú v bode 3.1;
c)
zmenu uvedenú v bode 3.5 tak, ako je schválená;
d)
rozhodnutia a správy notifikovanej osoby uvedené v bodoch 3.5 a 4.3.
7. Každá notifikovaná osoba informuje svoje notifikujúce orgány o schváleniach systému kvality, ktoré vydala alebo odňala, a pravidelne alebo na požiadanie sprístupňuje svojim notifikujúcim orgánom zoznam zamietnutých, pozastavených alebo inak obmedzených schválení systémov kvality.
Každá notifikovaná osoba informuje ostatné notifikované osoby o zamietnutých, pozastavených alebo odňatých schválení systémov kvality a na požiadanie aj o vydaných schváleniach systémov kvality.
Povinnosti výrobcu stanovené v bodoch 3.1, 3.5, 5 a 6 môže v jeho mene a na jeho zodpovednosť splniť jeho splnomocnený zástupca za predpokladu, že príslušné povinnosti sú uvedené v splnomocnení.
K tomuto aktu bolo urobené vyhlásenie, ktoré možno nájsť v Ú. v. EÚ C, 2024/6786, 20.11.2024, ELI: http://data.europa.eu/eli/C/2024/6786/oj.
|
,
1.1 Odkazy
1.2 Identifikované požiadavky
1.3 Súvisiace štandardy
2. Identifikované požiadavky
Požiadavky
| Zdroj |
Požiadavka |
3. Súvisiace štandardy
Štandardy
| Zdroj |
Požiadavka |
Prepojené úlohy
|